Wir haben die neuesten Informationen zur globalen Sicherheitsverletzungslandschaft gehört und unter vielen anderen Themen über die Herausforderungen gesprochen, die durch staatlich gesponsertes Hacking verbunden sind. Im Laufe des Tages haben wir drei Schlüsselthemen gesehen.
(Denise Zheng (links), Suzanne Spaulding (Mitte) und Fran Townsend (rechts) diskutierten staatlich gesponsertes Hacking bei CONVERGE1717.)
Kritische Infrastruktur, staatlich gesponsertes Hacking und die Bedeutung von Cybersicherheitsgrundlagen waren für Redner während der allgemeinen Sitzungen am Tag 2 bei CONVERGE17 oberste Priorität. Im Laufe des Tages haben wir drei Schlüsselthemen gesehen:
- Staatsgesponserte Hacker bevorzugen kritische Infrastruktur
- Menschen sind unsere anfälligsten „Endpunkte“; und
- Unternehmen haben immer noch Schwierigkeiten, die Grundlagen der Cybersicherheit richtig zu machen.
Staatsgesponserte Hacker bevorzugen kritische Infrastruktur
Während staatlich gesponsertes Hacking für jede Organisation ein Problem ist, stehen Eigentümer und Betreiber kritischer Infrastrukturen vor der größten Bedrohung, so Denise Zheng, VP of The Business Roundtable, die eine Podiumsdiskussion zum Thema moderierte.
„Cyberthreats in der kritischen Infrastruktur sind keine theoretischen Ereignisse mehr“, sagte sie. „Sie sind real und richten sich an den privaten Sektor und die Regierung.“ Die Frage lautet dann: Welche Rolle hat die Regierung bei der Sicherung dieser Einheiten? „Wenn sie mit von einem US-Bundesstaat gesponserten Cyber-Akteuren konfrontiert sind, die gut ausgestattet und ausgeklügelt sind und einen rechtlichen Schutz ihrer Regierung haben“, sagte Zheng, „sollten wir ein israelähnliches Modell verfolgen, in dem die Regierung eine gewisse Rolle bei der Überwachung auf Bedrohungen spielt?“
Die Beziehung zwischen der Technologie-Community und der US-Regierung als „kratzig“ bezeichnen, sagte der Podiumsteilnehmer Frances Townsend, EVP MacAndrews & Forbes: „Ich bin skeptisch, dass Sie es erreichen können. Der Einsatz eines israelischen Modells, bei dem Sie Regierungsakteure in einem Unternehmen des privaten Sektors haben, ist unwahrscheinlich und ehrlich gesagt unangenehm. Börsengesellschaften müssen ihr Reputationsrisiko aufgrund ihrer Beziehung zur Regierung bewerten. Sie wirft Datenschutz- und zivilrechtliche Freiheitsprobleme auf und ist in den USA möglicherweise nicht machbar.“
Ein komfortableres Rahmenwerk, sagte Townsend, wäre eine Drittorganisation, über die Bedrohungsinformationen anonym weitergegeben werden könnten. Die Organisation könnte als „Wachdog zwischen dem privaten Sektor und der Regierung“ dienen, sagte sie.
Da Regierungen und Unternehmen mit diesen und anderen Herausforderungen zu kämpfen haben, ändert sich die Art der staatlich gesponserten Angriffe. „Im Jahr 2011, als ich bei DHS begann, würden wir an nationale Staatsakteure in Bezug auf Fähigkeiten und Absichten denken“, sagte Suzanne Spaulding, ehemalige Untersekretärin, Department of Homeland Security. „Wir würden darüber sprechen, dass wir ein paar wichtige Staatsakteure hatten – China und Russland – mit erheblicher Leistungsfähigkeit, aber geringer destruktiver Absicht und [Länder wie] Nordkorea und Iran mit weniger Leistungsfähigkeit, aber höherer Absicht.“
Seitdem sagte Spaulding: „Wir haben eine zunehmende Raffinesse in den Fähigkeiten derjenigen gesehen, die uns Schaden zufügen möchten, und eine zunehmende Spannung mit denjenigen, die erhebliche Fähigkeiten haben.“
Die Grenze zwischen kriminellen Aktivitäten für finanzielle Gewinne und nationalen Aktivitäten für Spionage ist verschwommen. „Sie sehen das ganz klar in Nordkorea, wo sie versuchen, ihr Regime teilweise durch Cyber-fähige Bedrohung zu finanzieren“, sagte Spaulding. „Wir sehen, dass Länderstaaten nichtstaatliche Akteure als Auftragnehmer einsetzen. Die Linien sind definitiv unscharf.“
Die Grenzen zwischen den Welten der physischen und Cybersicherheit verwischen ebenfalls, insbesondere für Organisationen, die an unserer kritischen Infrastruktur beteiligt sind. Es ist für die Personen, die für die physische Sicherheit einer Organisation verantwortlich sind, und diejenigen, die für Cybersicherheit verantwortlich sind, unerlässlich, sich selbst als ein Team zu betrachten, so Spaulding.
Tatsächlich ist die Einbeziehung eines breiten Querschnitts von Stakeholdern in Ihre Cybersicherheitsgespräche der Schlüssel zum Verständnis der vollständigen geschäftlichen Auswirkungen einer Verletzung. „Ihr IT-Experte kann Ihnen nicht mehr über die kaskadierenden Folgen eines Cyberangriffs erzählen, als Ihr Elektriker Ihnen über die kaskadierenden Folgen für Ihr Geschäft erzählen kann, wenn der Strom ausfällt“, sagte Spaulding. „Sie müssen außerhalb der IT-Box an das breitere Team denken.“
Menschen sind unsere anfälligsten „Endpunkte“
Ebenso wichtig ist es, eine klare Sicht darauf zu haben, wie sich Ihre Mitarbeiter wahrscheinlich verhalten werden. „Wenn es kein anfälliges System gibt, gibt es immer eine anfällige Person“, sagte Chris Novak, Mitbegründer/globaler Direktor des Verizon Threat Research Advisory Center, während seiner Präsentation „Ein Blick in die Cyber-Bedrohungslandschaft“.
Er stellte fest, dass einer von 14 Benutzern auf irgendeine Form von Social Engineering oder Phishing-Angriff fällt und ein Viertel davon mehr als einmal darauf fällt. Zum Beispiel sagte Novak, eine Organisation, mit der er kürzlich zusammengearbeitet hat, sagte ihm, dass, als sie vierteljährliche Cybersicherheits-Sensibilisierungsschulungen für Mitarbeiter durchführten und dann Praxis-Phishing durchführten, ihre Opferquote 3 %-4 % betrug. Aber als sie die Schulung einige Monate lang beendeten, stieg die Opferquote auf 38 %. „Einige Organisationen sagen mir, dass sie näher an 60 %–70 % liegen“, sagte er.
Angesichts der Anzahl der Angriffe, die durch Phishing in eine Organisation gelangen, stellte Spaulding fest, dass Organisationen weiterhin in die Schulung der Belegschaft und die Implementierung grundlegender Tools wie Multifaktorauthentifizierung, Segmentierung= und Anwendungs-Whitelisting investieren müssen.
„Es geht um die Grundlagen“, sagte Novak. „Organisationen konzentrieren sich so sehr auf die fortgeschrittenen und ausgeklügelten Unternehmen und wir lassen die Türen und Fenster offen. Wenn Sie einige der grundlegenden Elemente nicht tun, werden die Dinge aus dem Fenster fliegen.“
Die richtigen Grundlagen der Cyberhygiene scheinen vielen Organisationen aus dem Weg zu gehen. „Ich glaube nicht, dass Sie die grundlegende Hygiene übernehmen können“, sagte Townsend. „Unternehmen haben viel getan, aber ich bin weiterhin mystifiziert, dass sie einige der Grundlagen nicht gemacht haben.“
Unternehmen haben immer noch Schwierigkeiten, die Grundlagen der Cybersicherheit richtig zu machen.
Die Grundlagen richtig zu machen ist nicht einfach, insbesondere für Unternehmen im Unternehmensmaßstab. Zum Beispiel kann der Wechsel von einer Single-Faktor- zu einer Multi-Faktor-Authentifizierung eine Vielzahl von Herausforderungen für eine Organisation mit sich bringen, nicht zuletzt ein Pushback von Benutzern, die sich an der Idee scheuern. „Aber die Realität ist, dass die meisten dieser Dinge vereitelt oder drastisch verlangsamt werden könnten, wenn Sie nur eine Multifaktor-Authentifizierung hätten“, sagte Novak. „Und Sie müssen es an mehreren Orten haben. Jeder sagt uns: „Ja, wir haben es.“ Aber wenn wir mit dem Graben beginnen, stellen wir fest, dass sie es nicht überall im Unternehmen hatten. Sie hatten sie beispielsweise nicht für Administratoren, also erstellen Sie diese Taschen an gefährdeten Populationen, die anvisiert werden.“
Patching ist ein häufig genannter und kritischer Grund für Cyber-Hygiene, aber Novak sagte: „Wichtiger als nur Patching zu können, ist es, zu wissen, was Sie haben. Patching muss Hand in Hand mit Asset-Bestand gehen. Wenn Sie 99 % von allem gepatcht bekommen, was ist das „Alles“? Jede Organisation hat den Spielplatz eines Hackers darin. Es sind die Teile der Organisation, die die Organisation nicht einmal erkennt.“
Zu Beginn einer Untersuchung zu Verstößen besteht einer der ersten Schritte für Novak und sein Team darin, einen Asset-Bestand anzufordern. „Wir haben eine Untersuchung gegen Verstöße durchgeführt, bei der sie drei verschiedene Asset-Inventare für uns erstellt haben, und keine davon war wahr“, sagte er.
In einer weiteren Untersuchung sagte er in Japan: „Wir gingen rein und begannen zu verfolgen, was die Bedrohungsakteure machten, und wir bemerkten plötzlich, dass sie aus dem Radar verschwanden, aber wir konnten sehen, dass die Daten immer noch exfiltriert wurden. Wir entdeckten Assets in der Umgebung, die niemand berücksichtigen konnte. Wir haben 30 000 Assets gefunden, von denen sie keine Aufzeichnungen hatten. Als wir sie fragten, sagten sie uns: „Wir übernehmen zwei bis drei Unternehmen pro Monat.“ Also gibt es eine Fehlerspanne darüber, was sie verstehen, was sie besitzen.“
Da Unternehmen Schwierigkeiten haben, die Grundlagen richtig zu machen, entwickelt sich das Geschäft des Hackings weiter. Die meisten Gruppen, die im Dark Web handeln, agieren nach Angaben von Novak wie ein Unternehmen. „Wir sind alle hier, weil unsere Unternehmen da draußen sind, um gut zu machen, Geld zu verdienen und unsere Kunden glücklich zu machen“, sagte er. „Diese Jungs machen genau das Gleiche. Sie wollen Geld verdienen und ihre Kunden glücklich machen. Sie können diese Websites besuchen und eine RFP für Malware einreichen. Sie werden Leute haben, die im Grunde über sich selbst stolpern, um zu versuchen, Ihnen die Malware zur Verfügung zu stellen. Sie können Botnets, alles und alles, was Sie auf diesen Websites möglicherweise benötigen, kaufen. Es ist wichtig für die Menschen, die Leichtigkeit zu erkennen, mit der die Untertage-Community Zugang zu dieser Art von Daten und Informationen hat.“
Während Angriffe auf den US-Bundesstaaten Medienschlagzeilen und unsere kollektive Angst fördern, „ist es normalerweise nicht so interessant“, sagte Tanium CEO Orion Hindawi in seinemTag-1-Feuerkontakt mit Robert Hackett von Fortune. In vielen Fällen sagte er: „Jemand, der eine bekannte Schwachstelle ausnutzt“, die vor Monaten hätte gepatcht werden müssen.
Die gute Nachricht ist, dass niemand in dieser Branche an diesen Herausforderungen im Vakuum arbeitet. Wir können Informationen und wichtige Erkenntnisse bei Veranstaltungen wie CONVERGE und durch Diskussionen in der Tanium Community miteinander teilen. Wir können die Mitarbeiterschulung weiter verfeinern, um Menschen – unsere anfälligsten „Endpunkte“ – mit dem Wissen auszustatten, das sie benötigen, um sicher zu bleiben. Und wir können neue Wege finden, um mit unseren leitenden Führungskräften und unseren Vorständen über die Notwendigkeit von Investitionen in Cybersicherheit zu kommunizieren. Denn wenn Sie in einem Unternehmen arbeiten, das keine Ziellinie hat, können Sie am besten lernen, das Rennen zu genießen.
Mehr von Tanium CONVERGE17:
- CONVERGE17: Drei Dinge, die wir an Tag 1 gelernt haben
- CONVERGE17: Entfesseln Sie Ihre Macht
Haben Sie Fragen? Wir haben Antworten. Nehmen Sie noch heute an dem Gespräch teil und treten Sie mit Ihren Kollegen und technischen Experten von Tanium in unserer Tanium User Community in Kontakt.
Interessiert daran, Tanium in Aktion zu sehen? Planen Sie eine persönliche Demo oder nehmen Sie an unserem wöchentlichen Webinar teil. Sprechen Sie bei unseren bevorstehenden Veranstaltungen mit unseren Tanium-Experten.
Über den Autor: Scott Rubin ist Chief Marketing Officer bei Tanium, wo er für Marketing, Kommunikation, öffentliche Angelegenheiten und öffentliche Politik verantwortlich ist. Bevor er zu Tanium kam, war Scott Partner bei der Risikokapitalfirma Andreessen Horowitz, wo er Portfoliounternehmen bei ihrer Kommunikation und ihren Markenstrategien beriet. Bevor er zu Andreessen Horowitz kam, war Scott Direktor bei Google, wo er sowohl in den öffentlichen Richtlinien- als auch in den Kommunikationsteams tätig war und zuletzt die globale Unternehmenskommunikation verwaltete.
